GitHub 推出授權合規工具，協助企業降低開源違規風險
GitHub 開源計畫辦公室（OSPO）正式推出 GitHub License Compliance 功能，目前進入公開預覽（Public Preview）階段。這項工具旨在協助企業系統性管理數以千計的開源相依套件（dependencies），自動識別需要法務審查的授權條款，大幅降低因授權合規疏失所帶來的法律與財務風險。詳見：https://ift.tt/izXYsGE
GitHub License Compliance 目前僅開放給 GitHub Advanced Security 訂閱用戶使用。GitHub OSPO 本身已率先採用此功能來管理內部大量開源相依性，並在實際場景中驗證其有效性，後續將依公開預覽回饋持續優化。
對於仰賴眾多第三方套件的現代軟體供應鏈而言，授權合規已是不可忽視的資安與法遵課題。使用 MIT、Apache 2.0、GPL 等不同授權的套件若混用不當，可能面臨著作權糾紛或程式碼強制開源的義務。此工具可讓工程與法務團隊在開發流程早期即掌握授權風險，實踐 Shift Left 合規策略。
GitHub Advanced Security 整合了 Code Scanning、Secret Scanning 等多項安全功能，License Compliance 的加入進一步擴充其在軟體供應鏈安全（Supply Chain Security）上的防護縱深，有助於企業在 DevSecOps 流程中統一管理合規風險。
AI 驅動軟體開發的稽核方法：現代 SDLC 審計新挑戰
隨著 AI 輔助程式開發（AI-driven Software Development）快速普及，傳統稽核（Audit）框架已不足以因應現代軟體開發生命週期（SDLC）的複雜性。一篇深度分析文章探討如何有效對 AI 驅動的開發流程進行稽核，確保合規性與營運完整性。詳見：https://ift.tt/W8NArbX
傳統稽核著重於獨立審查記錄、流程與控制措施，以驗證財務與營運的合規狀態。在 AI 時代，這套方法必須延伸涵蓋整個 SDLC，包括 AI 模型的訓練資料來源、提示詞工程（Prompt Engineering）的稽核軌跡（Audit Trail），以及 AI 生成程式碼的品質把關機制。
AI 驅動開發帶來的主要稽核挑戰包括：程式碼生成過程缺乏可解釋性（Explainability）、AI 產出的程式碼可能包含已知漏洞或授權疑慮的程式片段、以及開發者對 AI 建議的過度信任所導致的品質把關失能。稽核人員需要建立新的查核點（Checkpoint）與評估指標。
文章建議採用的成功稽核策略包括：建立 AI 工具使用政策與技術控制的雙層治理架構、將 SAST／DAST 靜態動態分析整合至 CI/CD 管線中針對 AI 生成程式碼進行強制掃描、以及建立可量化的 AI 輔助開發指標來追蹤程式碼品質趨勢，確保組織在擁抱 AI 效率紅利的同時，維持可被稽核的開發紀律。
Tempest Security Daily 由 TempestAI 自動彙整，僅供技術參考。如有勘誤，歡迎回報。